CVE-2026-59989: Injeção de código PHP no filtro join do compilador Volt do Phalcon
O compilador de templates Volt do Phalcon Cphalcon insere valores brutos do separador e dos tokens de array do filtro join no PHP gerado, sem tratamento por expression(), o que permite injeção de código (CWE-94). O registro atribui CVSS 4.0 9.2 (crítico) e informa que o problema está corrigido na versão 5.16.0. O registro não indica exploração ativa confirmada.
Visão geral
O registro descreve uma fragilidade de injeção de código (CWE-94) no filtro join do compilador de templates Volt do Phalcon Cphalcon. Segundo a descrição, o compilador insere valores brutos do separador e dos tokens do array no PHP gerado, sem passá-los por expression(). O principal aviso é o GitHub Security Advisory GHSA-hrwp-4hh9-c8r8.
Impacto
A descrição indica que um invasor capaz de influenciar o código-fonte de templates Volt pode inserir conteúdo que quebra aspas em um argumento do join, o qual é gravado no arquivo de cache compilado e executado quando o template é renderizado. O vetor CVSS 4.0 do registro é AV:N/AC:L/AT:P/PR:N/UI:N, com alto impacto em confidencialidade, integridade e disponibilidade no sistema vulnerável, e a pontuação é 9.2.
Produtos e versões afetadas
- Phalcon Cphalcon: a faixa afetada no registro é anterior à 5.16.0. A descrição informa que o problema afeta a versão 5.15.0 e anteriores.
- Versão corrigida: a descrição informa que o problema está corrigido na versão 5.16.0. A lista de correções do registro está vazia, então a versão corrigida foi extraída da descrição e da release v5.16.0 vinculada.
Situação de exploração
O catálogo KEV da CISA não lista este CVE no registro. Não há exploração ativa confirmada nas fontes consultadas. O campo SSVC de exploração do registro está definido como poc, e o campo de automatização como yes. A probabilidade EPSS é 0.00543, com percentil de 0.44845.
Correção e mitigação
- Atualize o Phalcon Cphalcon para a versão 5.16.0 ou posterior, que contém a correção.
- Até a atualização, restrinja quem pode criar ou alterar o código-fonte dos templates Volt e trate o conteúdo dos templates como código sujeito a revisão.
- Após a atualização, limpe o cache compilado do Volt para que os templates sejam recompilados com o compilador corrigido. Esta etapa é uma inferência a partir da descrição, não uma instrução explícita do fornecedor.
Orientações de detecção
- Revise os templates Volt que usam o filtro join com separadores ou valores de array provenientes de entradas não confiáveis.
- Monitore o diretório de cache compilado do Volt quanto a arquivos novos ou modificados inesperadamente, comparando-os com o conjunto esperado de templates.
- Mantenha registros de alterações nas implantações de templates para permitir rastrear edições não autorizadas.
Limitações das informações disponíveis
- O registro não inclui detalhes de prova de conceito, e as condições de exploração dependem de como cada aplicação carrega os templates.
- O status de origem do registro é Deferred, e a lista de correções está vazia.
- As fontes consultadas não mostram se alguma implantação foi alvo de ataques.
Perguntas frequentes
Quais versões do Phalcon são afetadas pelo CVE-2026-59989?
A descrição informa que a versão 5.15.0 e anteriores são afetadas, e a faixa afetada no registro é anterior à 5.16.0.
Qual versão corrige o problema?
A descrição informa que o problema está corrigido na versão 5.16.0. A lista de correções do registro está vazia, então a página da release serve como referência para confirmar a correção.
Esta vulnerabilidade está sendo explorada ativamente?
O CVE não está listado no catálogo KEV da CISA neste registro, e não há exploração ativa confirmada nas fontes consultadas.
O que os administradores devem fazer agora?
Atualizar o Phalcon Cphalcon para a versão 5.16.0 ou posterior, restringir quem pode alterar os templates Volt e limpar o cache compilado do Volt após a atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.